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® Verfahren zum Absichern einer Transaktion auf einem Computernetzwerk * 

® ... Es w ' rd ein Verf ahren zum Absichern einer Transaktion 
uber ein Computernetzwerk beschrieben, bei dem an ei- 
nen Servicenutzer ein einmaliges Transaktionskennwort 
ubermittelt wird, welches zur Transaktionsbestatigung 
vom Servicenutzer uber das Computernetzwerk an einen 
Serviceanbieter ubermittelt wird. Das Transaktionskenn- 
wort wird dabei uber ein Mobilfunknetz an ein mobiles 
Kommumkationsendgerat des Servicenutzers ubermit- 
telt, wobei vor einer Ubermittlung des Transaktions- 
Kennworts an den Servicenutzer eine Oberprufuhg per- 
son I icher Service nutzer- Date n erf o I gt. 
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[0001] Die Erfindung betrifft ein Verfahren zum Absi- 
chern einer Transaktion auf einem Computer- oder ahnli- 
chem Netzwerk, beispielsweise irn Internet oder auch in ei- 
nem groBeren organisationsintemen Intranet, bei dem an ei- 
nen Servicenutzer ein einmaliges Transaktionskennwort 
iibermittelt wird, welches zur Trans aktions-Bestatigung 
vom Servicenutzer iiber das Computernetzwerk an einen 
Serviceanbieter iibermittelt wird. 

[0002] Ein dcrartigcs Verfahren wird zur Zcit beispiels- 
weise bei dem ublichen On line- Ban king- Verfahren genutzt. 
Der Bankkunde bekornmt hierbei auBer der PIN zusatzliche 
Transaktionsnummem, sogenannte TAN, zugesandt, die je- 
weils nur fur eine einzige Transaktion verwendet werden 
konnen und anschlieBend ihre Gultigkeit verlieren. Nur bei 
Ubereinstimmung der PIN und der TAN mit den beim On- 
line-Ban king- A nbieter hinterlegten Werten wird die Trans- 
aktion durchgefuhrt. Da die TAN nur ein einziges Mai ver- 
wendet wird, ist sichergestellt, dass Unbefugte, denen es ge- 
lingt, den Datentransfer zwischen Bank und Kunden auszu- 
spionieren, mit den ermittelten Daten keinen Missbrauch 
treiben konnen. Die TAN bietet somit eine zusatzliche Si- 
cherheit fur den Kunden, da so ein Missbrauch der Online- 
Bank vcrbindung crhcblich rcduzicrt wird. Zum andcrcn bie- 
tet sie aber auch eine zusatzliche Sicherheit fur den Online- 
Banking-Anbieter, da durch die Zusarnmenwirkung von 
richtiger PIN und richtiger TAN die Authentizitat des Kun- 
den bestatigt wird. Derartige vom Online-Banking bekannte 
Verfahren sind selbstverstandlich auch anwendbar, urn 
Transaktionen im Zusammenhang mit anderen Gescha'ften 
im Internet, beispielsweise beim Kauf von Waren, auszufiih- 
ren. 

[0003] Urn zu verhindern, dass Unbefugte in den Besitz 
der TAN gelangen, solange sie noch fQr eine Transaktion 
verwendet werden kann, erfolgt die Zusendung der TAN an 
den Kunden bisher per Brief unter entsprechenden Sicher- 
heitsbedingungen. Wegen des erheblichen Aufwands und 
der Daucr cincs postalischcn Vcrsands werden hierbei ubli- 
cherweise an den Kunden gleich mehrere gultige TAN, bei- 
spielsweise 40 verschiedene TAN, versandt, die der jeweili- 
gen PIN des Kunden zugeordnet sind. Der Kunde muss die 
40 TAN an gesicherter Stelle aufbewahren und kann jede 
dieser TAN einmal verwenden. Sobald der Kunde alle TAN 
, verbraucht hat, kann er neue TAN von seiner Bank anfor- 
dern. 

[0004] Es ist offensichtlich, dass die Verwaltung solcher 
TAN, besonders fur den Kunden, auBerst unkomfortabel ist. 
In der Regel besteht die Moglichkeit, die erhaltenen TAN im 
Computer des Kunden mit geeigneter Software abzuspei- 
chern. Es wird dann automatisch bei Durchfiihrung einer 
Transaktion vom Online-Banking -Programm eine der ge- 
spcichcrtcn TAN verwendet und anschlicBcnd als gcloscht 
gekennzeichnet. D. h. es werden automatisch zum richtigen 
Zeitpunkt innerhalb einer Transaktion PIN und TAN iiber- 
tragen, ohne dass der Kunde direkt eingreifen muss. Die Ab- 
speicherung der TAN und/oder der PIN birgt jedoch die er- 
hebliche Gefahr, dass diese sensibien Daten durch Unbe- 
fugte auf dem Computer des Kunden, beispielsweise durch 
sogenannte "Trojanische Pferde" oder ahnliche Programme, 
ausspioniert werden und dann fdr einen Missbrauch verwen- 
det werden konnen. Die sicherere Alternative hierzu bedeu- 
tet jedoch, dass der Kunde die TAN nicht in seinem Rechner 
speichert, sondern statt dessen in schriftlicher Form an si- 
cherer Stelle aufbewahrt. Da es fur den Kunden in der Regel 
aber unpraktikabel ist, sich mehrere dieser TAN zu merken, 
bedeutet dies gleichzeitig, dass der Kunde die schriftlich no- 
tierten TAN mit sich fuhren muss, wenn er von verschiede- 



nen Orten und unterschiedlichen Rechnem aus seine Bank- 
geschafte durchfuhren will. Zudem besteht bei dieser Auf- 
bewahrung auch die Moglichkeit, dass die TAN dem Kun- 
den beispielsweise durch Diebstahl abhanden kommt oder 
5 verloren geht und in unbefugte Hande gelangt. 

[0005] In der US 5,809,144 wird ein Verfahren zum Ver- 
kauf und zur Lieferung von. Waren im Internet genannt, bei 
dem zur Absicherung von Kunden und Verkaufern gegen- 
einander sowie zur Sicherung gegen Abhoren und Miss- 
10 brauch von Daten ein Verfahren vorgeschlagen wird, das die 
Ubcrscndung mchrcrcr kryptographischcr Chccksummcn 
sowie einer Signatur einschlieBt. Dieses Verfahren ist je- 
doch aufierst aufwendig und rechenintensiv. 
[0006] Es ist Aufgabe der vorliegenden Erfindung, eine 
15 Alternative zum genannten Stand der Technik zu schaffen, 
mit der auf einfache und sichere Weise eine Absicherung ei- 
ner Transaktion, beispielsweise einer Zahlungstransaktion, 
iiber ein Computernetzwerk bzw. ein Netzwerk, welches 
zum Austausch von Daten geeignet ist (z. B. Intemet-Nut- 
20 zung iiber Mobiifunk), moglich ist. 

[0007] Diese Aufgabe wird durch ein Verfahren gemaB 
Patentanspruch 1 gelost. Die abhangigen Anspruche enthal- 
ten vorteilhafte Weiterbildungen und Ausgestaltungen des 
erfindungsgemafien Verfahrens. 
25 [0008] Bei dem crfindungsgcmaBcn Verfahren wird cben- 
falls an den Servicenutzer, d. h. den Kunden, ein einmaliges 
Transaktionskennwort ubermittelt, das dieser zur Transakti- 
onsbestatigung iiber das Computernetzwerk an einen Ser- 
viceanbieter zuruckubermittelt, um eine Zahlung durchzu- 
30 tuhren. Bei dem Transakdonskennwort kann es sich um ein 
beliebiges Kennwort handeln. Vorzugsweise handelt es sich 
urn eine Nummer, d. h. eine ubliche TAN. Zur Erhohung der 
Sicherheit werden dabei vor der Ubermittlung eines Trans- 
aktions-Kennworts an einen Servicenutzer dessen personli- 
35 che Daten uberpruft. Hierbei handelt es sich in erster Linie 
um diejenigen Daten, die fiir die Transaktion bendtigt wer- 
den, beispielsweise um den Namen, die Adresse, eine Kre- 
ditkartennummer und eine Mobilfunkteilnehmernummer 
des Kommunikationscndgcrats des Scrviccnutzcrs, Ncbcn 
40 diesen Daten konnen selbstverstandlich, alternativ oder zu- 
satzlich zum Namen und zur Adresse, weitere Daten, bei- 
spielsweise eine Ausweis- oder Passnummer des Service- 
nutzers, registriert werden. 

[0009] Das Transaktionskennwort dient wie in den ein- 
45 gangs genannten Fallen der Absicherung des Servicenutzers 
und zur Authentisierung des Servicenutzers gegemiber dem 
Serviceanbieter. Es wird nur einmal fur eine einzige Trans- 
aktion verwendet und verliert anschlieflend seine Gultigkeit. 
Das Transaktionskennwort wird vom Serviceanbieter mit ei- 
50 nem dort gespeicherten Transaktionskennwort verglichen 
und nur bei Ubereinstimmung, d. h. bei Riicksendung des 
richtigen Transaktions-Kenn worts, wird die Transaktion 
durchgefuhrt. Die Ubcrscndung des Transaktions-Kcnn- 
worts zum Servicenutzer erfolgt nicht iiber das Computer- 
55 netzwerk, sondern iiber ein Mobilfunknetz an ein mobiles 
Kommunikationsendgerat des Kunden. Bei dem Mobilfunk- 
netz kann es sich um ein beliebiges Mobilfunknetz, bei- 
spielsweise GSM oder UMTS, handeln. Der Begriff Mobil- 
funknetz umfassf. hierbei auch entsprechende Pager-Netze. 
60 Bei dem mobilen Kommunikationsendgerat handelt es sich 
beispielsweise um ein handelsubliches Mobilfunkgerat, ei- 
nen Pager oder einen PDA mit entsprechender Mobilfiink- 
Funkdon. 

[0010] Der Servicenutzer kann das Transaktionskennwort 
65 direkt vom Serviceanbieter erhalten. Selbstverstandlich ist 
es auch moglich, dass das Transaktionskennwort von einer 
anderen Stelle, beispielsweise einer Kreditkarten-Organisa- 
tion oder einem Mobilfunknetz- A nbieter, welcher mit dem 



3 



DE 100 45 924 A 1 



Serviceanbieter in Verbindung stent, an den Servicenutzer 
iibermittelt wird. Entscheidend ist, dass hier, anders ais bei 
der eingangs genannten US 5,809,144 die sicherheitssensi- 
blen Daten, die der Servicenutzer zur Bestatigung einer 
Transaktion an den Serviceanbieter uber das Computernetz- 5 
werk versenden soli, nicht Uber das gleiche Netzwerk er- 
folgt, sondem dass zur Ubersendung des Transaktions- 
Kennworts an den Servicenutzer ein vollig anderer Weg ver- 
wendet wird. Dies erhoht die Sicherheit erheblich, da fur ei- 
nen Missbrauch durch eine unbefugte Person nun nicht 10 
mehr nur Name, Adrcssc usw. des Scrviccnutzcrs bckannt 
sein miissen, sondem er sich auch noch im Besitz des Kom- 
munikationsendgerats des Servicenutzers befinden muss. 
[0011] Da bei dem erfindungsgemaBen Verfahren die 
Ubersendung des Transaktions-Kennworts, anders als bei 15 
einer Ubersendung mit spezieller Post wie beim bisherigen 
Online-Banking- Verfahren, schnell und unkompliziert ist, 
ist es moglich, dass das Trans aktionskennwort jeweils direkt 
wahrend oder unmittelbar vor einer Transaktion an den Ser- 
vice-Nutzer ubermittelt wird. D. h. es ist nicht mehr notig 20 
dass vorab rnehrere Nummern ubermittelt werden. Somit ist 
es auch nicht mehr erforderlich, dass der Service-Nutzer 
rnehrere Nummern sicher so verwahrt, dass er die Nummer 
zum geeigneten Zeitpunkt zur Hand hat. Damit ist gleichzei- 
tig ausgcschlosscn, dass Unbefugte in den Besitz cincs 25 
Blocks von TAN kommen. 

[0012] Zur Uberpriifung dieser Daten wird dann ein Kon- 
sistenz-Abgleich zwischen dem Serviceanbieter, einem Mo- 
bilfunknetz-Anbieter und einer Kreditkartengeselischaft 
durchgetuhrt, d. h. der Serviceanbieter fuhrt beispielsweise 30 
einen Abgleich der Daten mittels einer Datenbankabfrage 
beim. Mobilfunknetz-Anbieter und einer gleichzeitigen Da- 
tenbank-Abfrage bei der Kreditkartengeselischaft durch Er 
stellt so sicher, dass die Mobilfunk-Teilnehmernummer und 
die Kreditkartennummer zum selben Servicenutzer gehoren 35 
Crleichzeitig kann selbstverstandlich auch eine Abfrage uber 
die Zahlungsfahigkeit des Servicenutzers uber die Kredit- 
karte erfolgen. 

[0013] Nur nach cincm crfolgrcichcn Konsistcnz-Chcck 
der Servicenutzer-Daten wird der Service schliefilich freige- 40 
schaltet, und dem Servicenutzer wird ein Transaktionskenn- 
wort ubermittelt, mit dem er schlieMich die Transaktion 
durchfuhren kann. 

[0014] Da die Obermittlung samtlicher Servicenutzer-Da- 
ten sowie ein entsprechender Konsistenz-Abgleich durch 45 
den Serviceanbieter wahrend jeder einzelnen Transaktion 
relativ aufwendig ist, erfolgt vorzugsweise vor einer erstma- 
hgen Transaktion ein Regis triervorgang. bei dem zumindest 
ein Teil der Servicenutzer-Daten an den Serviceanbieter 
ubermittelt werden. Es erfolgt dann sofort die Uberpriifung 50 
der Servicenutzer-Daten, beispielsweise der vollstandige 
Konsistenz- Abgleich. Bei erfolgreicher Registrierung wird 
dem Scrvicc-Nutzcr schlicBlich cine personliche Identifizie- 
rungsnummer, im Folgenden PIN genannt, ubermittelt, die 
diesern Servicenutzer zugeordnet ist. Bei einer spateren 55 
Transaktion wird dann zunachst die PIN vom Servicenutzer 
an den Serviceanbieter ubermittelt, womit dieser autorna- 
tisch .uber die Daten des aktuellen Service-Nutzers infor- 
miertist. Vom Service-Anbieter wird dann vorzugsweise an- 
stelle der kompletten Servicenutzer-Daten nur noch die PIN 60 
Uberprtlft. Selbstverstandlich ist es aber auch moglich, dass 
bei jeder Sitzung der Servicenutzer erneut seine Daten ee- 
meinsam mit der PIN eingibt und sowohl die Servicenutzer- 
Daten als auch die PIN uberpriift werden. 

[0015] Die personliche Identifizierungsnummer kann bei- 65 
spielsweise - wie auch das Transaktionskennwort - uber ein 
Mobilfunknetz an das mobile Kommunikationsendgerat des 
Kunden ubermittelt werden. 



[0016] Bei einem weiteren bevorzugten Ausfuhrungsbei- 
spiel werden vorm Servicenutzer unter Angabe der PIN dem 
Serviceanbieter Servicenutzer-Daten ubermittelt, die bei 
nachfolgenden Transaktionen verwendet werden. Hierbei 
handelt es sich sozusagen um eine zweite Registrierungs- 
stufe, bei der dem Serviceanbieter die Servicenutzer-Daten 
Ubermittelt werden, die er bei der ersten Registrierung nicht 
erhalten hat. Alternativ ist auf diese Weise naturlich auch 
eine Anderung von Servicenutzer-Daten moglich, beispiels- 
weise wenn der Servicenutzer ein anderes Kommunikati- 
onsendgerat mit einer Mobilfunk-Tcilnchmcrnummcr vcr- 
wenden rnochte oder eine andere Kreditkarte mit einer ande- 
ren Kreditkartennummer zur Zahlung verwenden mochte. 
[0017] Selbstverstandlich ist bei jeder Registrierung eine 
Eingabe verschiedener Kreditkarten nummern, beispiels- 
weise von verschiedenen Kreditkartengesellschaften, oder 
auch eine Eingabe von rnehreren verschiedenen Mobilfunk- 
teilnehmern, beispielsweise von verschiedenen Kommuni- 
kationsendgeraten, moglich. Der Servicenutzer kann dann 
bei einer spateren Nutzung des Service jederzeit. unter den 
verschiedenen Moglichkei ten wahlen. 

[0018] Die Ubermittlung der Servicenutzer-Daten und/ 
oder der PIN iiber das Computernetzwerk erfolgt vorzugs- 
weise auf gesicherte Weise, d. h. es wird ein gesicherter Ka- 
nal, beispielsweise das SSL- Verfahren, verwendet, bei dem 
diese sensiblen Daten verschliisselt ubermittelt werden. 
[0019] Das Transaktionskennwort bzw. die personliche 
Identifizierungsnummer wird auf das mobile Kommunikati- 
onsendgerat des Servicenutzers vorzugsweise als Textnach- 
richt, beispielsweise SMS, ubermittelt. Dieses Verfahren ist 
auBerst kostengunstig, da es nur wenig Ubertragungskapazi- 
tat benbtigt. Der Servicenutzer kann die PIN bzw! das Trans- 
aktionskennwort im Klartext vom Display seines Kommuni- 
kationsendgerats ablesen und an entsprechender Stelle in ei- 
ner Eingabemaske an seinem PC eingeben. 
[0020] Bei einem bevorzugten Ausfuhrungsbeispiet erhalt 
der Servicenutzer die PIN von einem Mobilfunknetz-Anbie- 
ter oder einem damit verbundenen Dienstleister. Dem Mo- 
bilfunknetz- Anbictcr bzw. dem damit verbundenen Dienst- 
leister sind Name, Adresse und Mobilfunk-Teilnehmernum- 
mer des Servicenutzers bereits bekannt. Unter Angabe die- 
ser PIN ubermittelt dann der Servicenutzer dem Servicean- 
bieter eine Kreditkartennummer, die bei nachfolgenden 
Transaktionen verwendet wird. Der Serviceanbieter uber- 
priift die PIN durch Vergleich mit der PIN, die er gemeinsam 
mit den personlichen Daten ebenfalls vom Mobilfunknetz- 
Anbieter oder dem damit verbundenen Dienstleister erhalten 
hat und ordnet diesen Daten die Kreditkartennummer zu 
und/oder fuhrt einen entsprechenden Konsistenz-Abgleich 
durch eine Datenbank- Abfrage bei der betreffenden Kredit- 
karten-Organisation durch. Alternativ ist es selbstverstand- 
lich auch moglich, dass der Servicebetreiber die erhaltene 
PIN lcdiglich an den Mobilfunknetz-Anbieter oder den da- 
mit verbundenen Dienstleister zur Uberpriifung weiterleitet 
und von diesern lediglich eine Information zuriickerhalt, 
dass die Daten in Ordnung sind. Bei erfolgreicher Uberprii- 
fung wird der Service freigeschaltet und kann jederzeit vom 
Servicenutzer genutzt werden. Der Service funktioniert in 
diesern Fall nur mit der Mobilfunk-Teilnehmernummer, 
uber die der Nutzer urspriinglich beim Mobilfunknetz-An- 
bieter bekannt ist. Die Kreditkartennummer kann mit die- 
sern Verfahren jederzeit vom Servicenutzer geandert wer- 
den, 

[0021] Bei einem alternativen Verfahren wild die PIN von 
einer Kreditkartenorganisation oder einem damit verbunde- 
nen Dienstleister an den Servicenutzer ubermittelt. In die- 
sern Fall kann der Servicenutzer mit der erhaltenen PIN die 
Registrierung beim Serviceanbieter durchfuhren und dabei 
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seine Mobilfunk-Teilnehrnernummer angeben. Auch hier 
erfolgt wie im vorherigen Fall zunachst eine Oberpriifung 
aller Daten. AnschlieBend wird der Service freigeschaltet, 
wobei in diesem Fall der Service nur in Verbindung mit der 
anfangs bekannten Kreditkartennummer funktioniert, unter 5 
der der Servicenutzer auch bei der Kreditkartenorganisation 
gemeldet ist, die die PIN Ubermittelt hat. Die Mobilfunk- 
Teilnehrnernummer kann jederzeit vom Servicenutzer durch 
eine emeute Registrierung mit der PIN geandert werden. 
[0022] Das erfindungsgemaBe Verfahren zur Sicherung 10 
von Transaktioncn kann bci bclicbigcn Vorgangcn cingc- 
setzt werden. Es kann beispielsweise direkt im Online-Ban- 
king-Verfahren verwendet werden. AuBerdem kann es auch 
fur Einkaufe uber das Internet und die darauf folgende Zah- 
lung verwendet werden. Der S erviceanbieter braucht hierbei 15 
nicht zwangslaufig mit dem Intemetshop-Betreiber iden- 
tisch zu sein. Es muss lediglich eine entsprechende - direkte 
oder indirekte - Verbindung zwischen Serviceanbieter und 
.Shop-Betreiber bestehen, d. h. Shop-Betreiber und Service- 
anbieter sind beispielsweise Vertragspartner oder sind uber 20 
einen gemeinsamen Vertragspartner miteinander verbunden. 
Bei dem Serviceanbieter kann es sich beispielsweise auch 
um die Kreditkartenorganisation oder den Mobilfunknetz- 
Anbieter selbst handeln. Es kann sich aber auch um eine 
vollstandig cigcnstandigc Organisation handcin, die mit den 25 
verschiedenen anderen Organisationen und Betreibern in 
Geschaftsverbindung steht. 

[0023] Das erfindungsgemaBe Verfahren bietet auBerdem 
die Moglichkeit, dass mit dem Transaktionskennwort und/ 
oder der PIN weitere Informationen an das mobile Kommu- 30 
nikationsendgerat . des Servicenutzers ubermittelt werden. 
Bei diesen zusatzlichen Informationen kann es sich bei- 
spielsweise um aktueile Informationen uber den Dienst 
selbst handeln. Es kann sich aber auch um Werbung oder 
ahnliches handeln. In diesem Fall ist beispielsweise auch 35 
eine Finanzierung des Service iiber die mit dem Transakti- 
onskennwort oder der PIN gesendete Werbung moglich, so 
dass fur die Shop-Betreiber, den Servicenutzer, fur die betei- 
ligtc Kreditkartenorganisation oder den Mobilfunknctz-An- 
bieter keine zusatzlichen Kosten entstehen. 40 
[0024] Da die Nachrichten auf ein mobiles Kommunikati- 
onsendgerat iiber ein Mobilfunknetz ubermittelt werden, ist 
das Verfahren auBerst flexibel, d. h. der Servicenutzer ist • 
nicht darauf angewiesen, die Transaktionen von seinem ei- 
genen PC an einem festen Standort durchzufuhren, sondem 45 
kann jeden beliebigen ihm zur Verfugung stehenden Rech- 
ner nutzen. Das erfindungsgemaBe Verfahren ist folglich 
iiberall dort einsetzbar, wo der Kunde mit seinem mobilen 
Kommunikationsendgerat erreichbar ist, d. h. bei Verwen- 
dung eines Mobilfunkgerats auch international dort, wo 50 
Roaming moglich ist. J5s wird keine spezielle Infrastruktur 
wie beispielsweise ein Smart-Card-Terrninal am gerade vom 
Kundcn benutzten Computer benotigt. 

[0025] Das gesamte Verfahren der Registrierung der Kun- 
den, der Ubermittlung von Identifizierungsnummern sowie 55 
von Trans aktions-Kennworten sowie die Uberprufung der 
verschiedenen Daten kann vollautomatisch iiber einen ge- 
eigneten Computer, beispielsweise einen Server des Ser- 
vicebetreibers, erf ol gen, auf dem ein entsprechendes Com- 
puterprogramm implementiert ist. 60 
[0026] Die Erflndung wird im Folgenden noch einmal an- 
hand konkreter Ausfuhrungsbeispiele erlautert: 
Bei den folgenden Ausfuhrungsbeispielen wird jeweils da- 
von ausgegangen, dass es sich bei dem Transaktionskenn- 
wort um eine Nummer, d. h. eine TAN, handelt. AuBerdem 65 
wird davon ausgegangen, dass die Ubermitdung der ver- 
schiedenen TAN und der PIN iiber SMS auf ein Mobiifunk 
gerat des Servicenutzers erfolgt. Ebenso erfolgt die ietztend- 
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liche Zahlung immer iiber eine Kreditkarte des Servicenut- 
zers, wobei die Belastung der Kreditkarte des Servicenut- 
zers durch den Serviceanbieter auf eine allgemein bekannte, 
ubliche Weise erfolgen kann. Selbstverstandlich ist die Er- 
findung nicht auf diese konkreten Ausfuhrungsbeispiele be- 
schrankt. 

[0027] Beim ersten Ausfiihrungsbeispiel handelt es sich 
um einen Spontankauf eines bisher beim Serviceanbieter 
nicht registrierten Servicenutzers. 

[0028] Voraussetzung fur die Abwicklung einer sicheren 
Krcditkartcnzahlung ist auch hier cin Konsistcnz-Abglcich 
der Servicenutzer-Daten, niimlich der Kreditkartennummer, 
der Mobilfunknummer sowie der Adresse und des Namens 
des Servicenutzers. Dieser Konsistenz-Abgleich erfolgt 
zwischen Serviceanbieter, Mobiifunknetz-Anbieter und 
Kreditkartenorganisation. 

[0029] Wahrend des Shoppens am PC, nach Aktivieren ei- 
nes Bezahlvorgangs, wird der Servicenutzer auf den Inter- 
net-Server bzw. eine Website des Servicebetreibers weiter- 
geleitet. Hier gibt der Servicenutzer in einer entsprechenden 
Dialogrnaske auf seinem PC seine Kreditkartennummer und 
seine Mobilfunknummer ein, die mittels eine sicheren Uber- 
tragung, beispielsweise mittels SSL, zum Server iibertragen 
werden. Name und Adresse konnen hier ebenfalls eingege- 
ben werden und mit iibertragen werden. In der Rcgcl sind 
die Daten aber bereits auf der Website des Internet-Shops 
angegeben worden, da diese Daten ja auch zur Auslieferung 
der Ware benotigt werden. Diese Daten konnen daher beim 
Weiterleiten des Servicenutzers auf den Internet-Server bzw; 
die Website des Servicebetreibers auch direkt vom Shop- 
Betreiber an den Servicebetreiber weitergegeben werden. 
[0030] Der Serviceanbieter fuhrt dann den notwendigen 
Abgleich aller Servicenutzer-Daten mittels einer entspre- 
chenden Datenbank-Abfrage beim Mobilfunkbetreiber und 
einer gleichzeitigen Datenbankabfrage bei der Kreditkarten- 
gesellschaft durch. Bei positivem Abfrageergebnis ist der 
Service freigeschaltet, und der Servicenutzer erhalt eine ein- 
malige TAN fur diesen Bezahlvorgang mittels SMS auf sein 
Mobiifunkgcrat zugeschickt. Es erfolgt dann die Eingabc 
der TAN durch den Servicenutzer am PC in eine entspre- 
chende Eingabemaske. SchlieBlich wird die TAN vom PC 
zum Hintergrundsystem, beispielsweise zum Internet-Ser- 
ver des Servicebetreibers, gesendet. Es erfolgt dann ein Ver- 
gieich der an den Servicenutzer gesendeten TAN mit der 
dort hinterlegten TAN. Bei erf olgreic hern Vergleich erfolgt 
die Belastung auf dem Kreditkartenkonto des Servicenut- 
zers. Der Servicenutzer selbst erhalt eine Bestatigung der er- 
folgreichen Kreditkartenzahlung. 

[0031] Beim zweiten Ausfiihrungsbeispiel wird davon 
ausgegangen, dass der Servicenutzer bereits beim Service- 
anbieter zuvor registriert ist und im Zuge des Registrie- 
rungsvorgangs eine eindeutige PIN erhalten hat. 
[0032] Hicrbci mcldct sich der rcgistricrtc Servicenutzer 
wahrend des Shoppens am PC auf dem Internetserver des 
Servicebetreibers mittels seiner PIN iiber einen sicheren Ka- 
nal an. AnschlieBend wird die PIN beim Servicebetreiber 
uberpriift und der Service fur die aktueile Sitzung freige- 
schaltet. Der Servicenutzer hat dann beispielsweise die 
Moglichkeit. innerhalb eines Internet-Shop einen Waren- 
korb zusammenzustellen. Nachdem der Warenkorb zusam- 
mengestellt wurde, muss dann der Servicenutzer nur noch 
den Bezahlvorgang, beispielsweise mittels eines Button auf 
der- Website des Serviceanbieters, aktivieren. Daraufhin 
wird sofort die TAN auf das Mobilfunkgeratdes Servicenut- 
zers ubermittelt. Auch hier wird dann die TAN vom Service- 
nutzer am PC in eine Eingabemaske eingegeben und iiber 
das Computernetzwerk zuruckubermittelt. Nach erfolgrei- 
chem Vergleich der TAN wird wiederum das Kreditkarten- 
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uber ein Mobilfunknetz an ein mobiles Kommunikati- 
onsendgerat des Servicenutzers ubermittelt wird, da- 
durcli gekennzeiclinet, dass vor einer Ubermittlung 
des Transaktions-Kennworts an den Servicenutzer eine 
Uberprufung personiicher Servicenutzer-Daten erfolgt. 

2. Verfahren nach Anspruch 1, dadurch gekennzeich- 

. neu* dass das Trans aktionskenn wort wahrend oder un- 

mittelbar vor einer Transaktion an den Servicenutzer 
ubermittelt wird. 

3. Verfahren nach einem der Anspriiche 1 bis 2, da- 
durch gekennzeichnet, dass zumindcst cin Tcil dcrScr- 
vicenutzer-Daten wahrend einer Transaktion vom Ser- 
vicenutzer uber das Computernetzwerk an den Service- 
anbieter ubermittelt werden. 

4. Verfahren nach einem der Anspriiche 1 bis 3, da- 
durch gekennzeichnet, dass zumindest ein Teil der Ser- 
vicenutzer-Daten bei einem ersten Registriervorgang 
vor einer erstmaligen Transaktion an den Serviceanbie- 
ter ubermittelt werden und diese Servicenutzer-Daten 
gepriift werden und dem Servicenutzer bei erfolgter 
Registrierung eine dem Servicenutzer zugeordnete per- 
sonliche Identiflzierungsnummer ubermittelt wird und 
bei einer Transaktion die personliche Identifizierungs- 
nummer vom Servicenutzer an den Serviceanbieter 
ubermittelt wird und vom Serviceanbieter zusammcn 
mit den oder anstelle der Servicenutzer-Daten die per- 
sonliche Identifizierungsnummer gepriift wird. 

5. Verfahren nach Anspruch 4, dadurch gekennzeich- 
net, dass die personliche Identifizierungsnummer uber 
ein Mobilfunknetz an das mobile Kommunikations- 
endgerat des Servicenutzer ubermittelt wird. 

6. Verfahren nach Anspruch 4 oder 5, dadurch gekenn- 
zeichnet, dass vom Servicenutzer ah den Serviceanbie- 
ter unter Angabe der personlichen Identifizierungs- 
nummer Servicenutzer-Daten tibermittelt werden, die 
bei nachfolgenden Transaktionen verwendet werden. 

7. Verfahren nach einem der Anspriiche 2 bis 6 da- 
durch gekennzeichnet, dass die Servicenutzer-Daten 
cincn Namcn und/odcr cine Adrcssc und/odcr cine 
Kreditkartennummer und/oder eine Mobilfunk-Teil- 
nehmernummer des Servicenutzers umfassen. 

8. Verfahren nach Anspruch 6 oder 7, dadurch gekenn- 
zeichnet, dass der Servicenutzer die personliche Identi- 
fizierungsnummer von einem Mobilfunknetzbetreiber 
Oder einem damit verbundenen Dienstleister ubermit- 
telt wird und unter Angabe der personlichen Identifi- 
zierungsnummer vom Servicenutzer dem Servicean- 
bieter eine Kreditkartennummer Ubermittelt wird, die 
bei nachfolgenden Transaktionen verwendet wird/ 

9. Verfahren nach Anspruch 6 oder 7, dadurch gekenn- 
zeichnet, dass der Servicenutzer die personliche Identi- 
fizierungsnummer von einer Kreditkartenorganisation 
oder einem damit verbundenen Dienstleister ubermit- 
telt wird, und unter Angabe der personlichen Identifi- 
zierungsnummer vom Servicenutzer dem Servicean- 
bieter eine Mobilfunk-Teilnehmernummer ubermittelt 
wird, die bei nachfolgenden Transaktionen verwendet 
wird. 

10. Verfahren nach einem der Anspriiche I bis 9, da- 
durch gekennzeichnet, dass die Servicenutzer-Daten 
und/oder die personliche Identifizierungsnummer gesi- 
chert uber das Computernetzwerk ubermittelt wird. 

11. Verfahren nach einem der Anspriiche 1 bis 10, da- 
durch gekennzeichnet, dass das Transaktionskennwort 
oder die personliche Identifizierungsnummer als Text- 
nachncht ubermittelt wird. 

12. Verfahren nach einem der Anspriiche 1 bis 11, da- 
durch gekennzeichnet, dass mit dem Transaktions- 
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kennwort und/oder der personlichen Identifizierungs 
nummer zusatzliche Informationen zum Kommunikati 
onsendgerat des Servicenutzers ubermittelt werden. 

Hierzu 1 Seite(n) Zeichnungen 
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konto das Servicenutzers belastet, und es erfolgt eine Besta- 
tigung der erfolgreichen Kreditkartenzahlung. 
[0033] Selbstverstandiich ist es moglich, dass der Service- 
nutzer unter verschiedenen Kreditkartengesellschaften aus- 
wahlt, von denen er jeweils Kreditkarten besitzt. Dies kann 5 
innerhalb einer Eingabemaske auf der Website des Service- 
anbieters abgefragt werden. Selbst im Falle einer zuvor er- 
folgten Registrierung besteht diese Moglichkeit, sofern der 
Servicenutzer bei der Registrierung die verschiedenen Kre- 
ditkartengesellschaften rnit den entsprechenden Kreditkar- to 
tcnnummcrn angcgcbcn hat. Ebcnso kann zwischcn ver- 
schiedenen Mobilfunkgeraten mit unterschiedlichen Mobil- 
funknummem gewahlt werden, sofern dies zuvor bei der 
Registrierung angegeben worden ist. 

[0034] Fur die Registrierung gibt es ebenfalls mehrere Al- 15 
temativen, wobei im Folgenden vier verschiedene Beispiele 
genannt werden. 

[0035] Bei der ersten Version kennt der Serviceanbieter 
den Servicenutzer bereits als Kreditkartenhalter, d: h. es sind 
ihm Name, Adresse und Kreditkartennummer bekannt. Dies 20 
ist bei spiels weise dann der Fail, wenn der Servicebetreiber 
selbst die betreffende Kreditkartenorganisation ist oder mit 
einer splchen in geschaftlicher Verbindung steht und die Da- 
ten untereinander austauscht. 

[0036] In diesem Fall bckommt der Scrviccnutzcr von sci- 25 
ner Kreditkartenorganisation oder einem damit verbundenen 
Dienstleister eine PIN zur Nutzung des Service zugestellt. 
Mittels dieser PIN kann sich der Servicenutzer auf dem Ser- 
ver des Serviceanbieters einloggen und seine Mobilfunk- 
nurnmer zur Benutzung des Service eingeben. Damit wird 30 
der Service freigeschaltet. Der Service funktioniert nur mit 
der Kreditkartennummer, die dem Serviceanbieter bereits 
bekannt ist. Die Mobilfunknummer kann jederzeit durch er- 
neutes Einloggen unter Eingabe der PIN geandert werden. 
[0037] Bei der zweiten Version kennt der Serviceanbieter 35 
den Servicenutzer bereits in seiner Person als Mobilfunknut- 
zer, d. h. dem Serviceanbieter sind Name, Adresse und Mo- 
bilfunknummer bekannt. Dies ist beispiels weise der Fall, 
wenn der Scrviccbctrcibcr sclbst der Mobilfunknctzbctrci- 
ber ist oder mit diesem in Verbindung steht. 40 
[0038] In diesem Fall bekommt der Servicenutzer von sei- 
nem Mobilfunknetzbetreiber oder einem damit verbundenen 
Dienstleister die PIN zur Nutzung des Service zugestellt. 
Mittels der PIN loggt sich der Servicenutzer wiederum auf 
dem Server des Serviceanbieters ein und gibt seine Kredit- 45 
kartennummer zur Nutzung des Service ein. In diesem Fall 
funktioniert der Service nur mit der dem Serviceanbieter be- 
reits bekannten Mobil funkteilnehmernummer. Die Kredit- 
kartennummer kann jederzeit unter Eingabe der PIN wieder 
geandert werden. 50 
[0039] Bei einer dritten Version erfolgt die Registrierung 
in einem Mobilfunkladen. Hier werden ebenfalls Name, 
Adresse und Mobilfunknummer rcgistricrt, und der Service- 
nutzer erhalt beispielsweise einen PIN-Brief. Diese Regi- 
strierung kann auch beim Postboten oder im Postamt erfol- 55 
gen. Mittels der zugestellten PIN kann sich der Servicenut- 
zer auf dem Server des Serviceanbieters einloggen und wie- 
derum seine Kreditkartennummer zur Nutzung des Service 
eingeben. Auch dann erfolgt der Service nur mit der anfangs 
registrierten Mobilfunknummer. 60 
[0040] Selbstverstandiich ist bei dieser dritten Alternative 
auch die Moglichkeit gegeben, dass beispielsweise beim 
Postboten oder im Postamt anstelle der Mobilfunknummer 
die Kreditkartennummer mit der betreffenden Kreditkarten- 
organisation registriert wird und anschlieBend mittels der 65 
PIN die Mobilfunkteilnehmemummer angegeben und gege- 
benenfalls geandert wird. 

[0041] Das vierte Registrierungsbeispiel ist eine reine On- 
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line-Registrierung. 

[0042] Voraussetzung fur diese reine Online-Registrie- 
rung ist wiederum ein Konsistenz-Abgleich der angegebe- 
nen Servicenutzer-Daten zwischen dem Serviceanbieter, 
dem betreffenden Mobilfunknetz-Anbieter und der Kredit- 
kartenorganisation. 

[0043] Hierbei loggt sich der Servicenutzer auf einer spe- 
ziellen Regis trierungs- Web- Site des Serviceanbieters ein 
und gibt dort Namen, Adresse sowie Kreditkartennummer 
und Mobilfunkteilnehmemummer an. Der Serviceanbieter 
fuhrt. anschlicBcnd einen Abglcich der Scrviccnutzcr-Datcn 
mittels einer Datenbankabfrage beim Mobilfunknetz-Anbie- 
ter und eine Datenbankabfrage bei der Kreditkartengesell- 
schaft durch. Nur bei positiven Abfrageergebnissen ist der 
Service freigeschaltet, und der Servicenutzer erhalt eine PIN 
zur Nutzung des Service. Diese PIN kann auf beliebigem 
Wege, beispielsweise per Post, ubermittelt werden. Vorzugs- 
weise erfolgt jedoch diese PIN-Ubertragung ebenfalls iiber 
das Mobilfunknetz auf das Mobilfunkgerat unter der einge- 
gebenen Mobil funk-Nummer. Die Ubertragung der PIN 
kann hierbei ebenfalls Uber SMS erfolgen. Dieses Verfahren 
hat den Vorteil, dass der Servicenutzer nicht erst auf die Zu- 
stellung eines Briefs warten muss, sonde m die Ubermittlung 
der PIN unmittelbar nach der Online-Registrierung erfolgen 
kann und somit der Dicnst dem Scrviccnutzcr sofort zur Vcr- 
fugung steht. 

[0044] Anhand der Figur wird nachfolgend noch einmal 
ein weiteres Ausfuhrungsbeispiel fur eine Nutzung nach ei- 
ner zuvor erfolgten Registrierung beschrieben, wobei bei 
diesem speziellen Ausfuhrungsbeispiel der Internet- Shop 
(Web-Shop) nicht direkt mit dem Serviceanbieter in Kontakt 
steht, sondern ein weiterer Dienstleister, hier ein Payment- 
Service-Provider (PSP) zwischengeschaltet ist. 
[0045] Auch hier loggt sich der Servicenutzer zunachst 
iiber das Internet beim gewiinschten Web-Shop ein und fuhrt 
dort eine Bestellung aus. Zur Einziehung des dafiir falligen 
Betrags sendet der Web-Shop den Betrag beispielsweise ge- 
meinsam mit Namen und Adresse des Servicenutzers an den 
Paymcnt-Scrvicc-Providcr. Dieser crtcilt schlicBlich dem 
Serviceanbieter einen Auftrag zur Kundenidentifizierung. 
Gleichzeitig wird der Servicenutzer automatisch auf die 
Website des Serviceanbieters weitergeleitet. Hier muB der 
Nutzer zunachst die PIN zum Freischalten des Bezahlser- 
vice angeben. AnschlieBend werden die Daten bzw. die PIN 
des Servicenutzers auf Konsistenz uberpruft und auch mit 
den vom Payment-Service-Provider erhaltenen Daten ver- 
glichen. Nach erfolgreicher Uberprufung sendet der Ser- 
viceanbieter uber das GSM-Netz eine TAN an das Mobil- 
funkgerat des Servicenutzers, der wiederum die TAN vom 
Display des Mobilfunkgerats abliest und zur Transaktions- 
bestatigung an entsprechender S telle in eine Eingabemaske 
auf seinem PC eingibt. Die TAN wird dann uber das Internet 
zur Priifung an den Serviceanbieter gesendct. Bei erfolgrei- 
cher Uberprufung der TAN wird dem Payment-Service-Pro- 
vider ein "Kunde-O.K. "-Signal ubermittelt. Der Payment- 
Service-Provider sorgt schlieBlich fur das Einziehen des Be- 
trags von einem Kreditkartenkonto des Servicenutzers und 
quittiert die erfolgreiche Zahlung an den Web- Shop mit ei- 
nem "Payment.-O.K." Signal. 

Patentanspruche 

• 1. Verfahren zum Absichern einer Transaktion uber 
ein Computemetzwerk, bei dem an einen Servicenutzer 
ein einmaliges Transaktionskennwort ubermittelt wird, 
welches zur Transaktionsbestatigung vom Servicenut- 
zer uber das Computemetzwerk an einen Serviceanbie- 
ter ubermittelt wird, wobei das Transaktionskennwort 
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